Vulnérabilités Ivanti activement exploitées (KEV)

CVE-2026-118527 — Ivanti Connect Secure : génération de nombres ou d'identifiants prévisibles

• Produit : Ivanti Connect Secure
• Ajoutée au catalogue : 30 octobre 2026
• Échéance CISA : 13 novembre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-340
• Technologie : Ivanti

Ivanti Connect Secure contient une vulnérabilité de génération de nombres ou d'identifiants prévisibles qui permet à un attaquant authentifié à distance de téléverser des fichiers avec un contenu contrôlé par l'attaquant vers un emplacement connu sur le disque. Cette vulnérabilité peut être chaînée avec CVE-2026-104935 et CVE-2026-111357.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · hub.ivanti.com

CVE-2026-111357 — Ivanti Connect Secure : absence d'authentification pour une fonction critique

• Produit : Ivanti Connect Secure
• Ajoutée au catalogue : 30 octobre 2026
• Échéance CISA : 2 novembre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-306, CWE-862, CWE-345
• Gravité : CVSS 7,0 (élevée)
• Probabilité d’exploitation (EPSS) : 1 %
• Technologie : Ivanti

Ivanti Connect Secure contient une vulnérabilité d'absence d'authentification pour une fonction critique qui pourrait permettre à un attaquant authentifié localement d'élever ses privilèges. Cette vulnérabilité peut être chaînée avec CVE-2026-104935 et CVE-2026-118527.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · hub.ivanti.com

CVE-2026-104935 — Ivanti Connect Secure : contournement de l'authentification par usurpation

• Produit : Ivanti Connect Secure
• Ajoutée au catalogue : 13 octobre 2026
• Échéance CISA : 16 octobre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-290
• Gravité : CVSS 8,6 (élevée)
• Probabilité d’exploitation (EPSS) : 89 %
• Technologie : Ivanti

Ivanti Connect Secure contient une vulnérabilité de contournement de l'authentification par usurpation qui permet à un attaquant distant non authentifié d'exécuter des commandes arbitraires.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA

CVE-2026-10520 — Ivanti Sentry : injection de commandes système Critique

• Produit : Ivanti Sentry
• Ajoutée au catalogue : 11 juin 2026
• Échéance CISA : 14 juin 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-78
• Gravité : CVSS 10,0 (critique)
• Probabilité d’exploitation (EPSS) : 100 %
• Technologie : Ivanti

Ivanti Sentry (anciennement connu sous le nom de MobileIron Sentry) contient une vulnérabilité d'injection de commandes système qui pourrait permettre à un utilisateur distant non authentifié d'obtenir une exécution de code à distance au niveau root. Cette vulnérabilité peut être exploitée avec succès dans les cas où l'appliance Sentry est dans un état non géré et que ses points d'extrémité sont accessibles de l'extérieur. L'utilisation de mTLS avec EPMM ou l'accès HTTPS restreint via Neurons pour MDM rend les interfaces inaccessibles aux acteurs externes.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · hub.ivanti.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-6973 — Ivanti Endpoint Manager Mobile (EPMM) : validation incorrecte des entrées

• Produit : Ivanti Endpoint Manager Mobile (EPMM)
• Ajoutée au catalogue : 7 mai 2026
• Échéance CISA : 10 mai 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-20
• Gravité : CVSS 7,2 (élevée)
• Probabilité d’exploitation (EPSS) : 34 %
• Technologie : Ivanti

Ivanti Endpoint Manager Mobile (EPMM) contient une vulnérabilité de validation incorrecte des entrées qui permet à un utilisateur authentifié à distance disposant d'un accès administratif d'obtenir une exécution de code à distance.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · hub.ivanti.com

CVE-2026-1340 — Ivanti Endpoint Manager Mobile (EPMM) : vulnérabilité d'injection de code Critique

• Produit : Ivanti Endpoint Manager Mobile (EPMM)
• Ajoutée au catalogue : 8 avril 2026
• Échéance CISA : 11 avril 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-94
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 99 %
• Technologie : Ivanti

Ivanti Endpoint Manager Mobile (EPMM) contient une vulnérabilité d'injection de code qui pourrait permettre à des attaquants d'obtenir une exécution de code à distance non authentifiée.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.mobileiron.com · support.mobileiron.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-1603 — Ivanti Endpoint Manager (EPM) : contournement de l'authentification

• Produit : Ivanti Endpoint Manager (EPM)
• Ajoutée au catalogue : 9 mars 2026
• Échéance CISA : 23 mars 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-288
• Gravité : CVSS 7,5 (élevée)
• Probabilité d’exploitation (EPSS) : 88 %
• Technologie : Ivanti

Ivanti Endpoint Manager (EPM) contient une vulnérabilité de contournement de l'authentification utilisant un chemin ou un canal alternatif qui pourrait permettre à un attaquant distant non authentifié de divulguer des données d'identifiants stockées spécifiques.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · hub.ivanti.com

CVE-2026-1281 — Ivanti Endpoint Manager Mobile (EPMM) : vulnérabilité d'injection de code Critique

• Produit : Ivanti Endpoint Manager Mobile (EPMM)
• Ajoutée au catalogue : 29 janvier 2026
• Échéance CISA : 1 février 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-94
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 99 %
• Technologie : Ivanti

Ivanti Endpoint Manager Mobile (EPMM) contient une vulnérabilité d'injection de code qui pourrait permettre à des attaquants d'obtenir une exécution de code à distance non authentifiée.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.mobileiron.com · support.mobileiron.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-4428 — Ivanti, Endpoint Manager Mobile (EPMM) : vulnérabilité d'injection de code

• Produit : Ivanti Endpoint Manager Mobile (EPMM)
• Ajoutée au catalogue : 19 mai 2025
• Échéance CISA : 9 juin 2025
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-94
• Gravité : CVSS 8,8 (élevée)
• Probabilité d’exploitation (EPSS) : 88 %
• Technologie : Ivanti

Ivanti Endpoint Manager Mobile (EPMM) contient une vulnérabilité d'injection de code dans le composant API qui permet à un attaquant authentifié d'exécuter à distance du code arbitraire via des requêtes API spécialement conçues. Cette vulnérabilité résulte d'une implémentation non sécurisée de la bibliothèque open source Hibernate Validator, telle que représentée par CVE-2025-35036.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · forums.ivanti.com

CVE-2025-4427 — Ivanti Endpoint Manager Mobile (EPMM) : contournement de l'authentification

• Produit : Ivanti Endpoint Manager Mobile (EPMM)
• Ajoutée au catalogue : 19 mai 2025
• Échéance CISA : 9 juin 2025
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-288
• Gravité : CVSS 7,5 (élevée)
• Probabilité d’exploitation (EPSS) : 100 %
• Technologie : Ivanti

Ivanti Endpoint Manager Mobile (EPMM) contient une vulnérabilité de contournement de l'authentification dans le composant API qui permet à un attaquant d'accéder à des ressources protégées sans les identifiants appropriés via des requêtes API spécialement conçues. Cette vulnérabilité résulte d'une implémentation non sécurisée de la bibliothèque open-source Spring Framework.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · forums.ivanti.com

CVE-2025-22457 — Ivanti, Connect Secure, Policy Secure et ZTA Gateways : dépassement de tampon basé sur la pile Critique

• Produit : Ivanti Connect Secure, Policy Secure, and ZTA Gateways
• Ajoutée au catalogue : 4 avril 2025
• Échéance CISA : 11 avril 2025
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-121
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %
• Technologie : Ivanti

Ivanti Connect Secure, Policy Secure et ZTA Gateways contient une vulnérabilité de dépassement de tampon basé sur la pile qui permet à un attaquant distant non authentifié d'obtenir une exécution de code à distance.

Action requise : Appliquer les mesures d'atténuation telles que stipulées dans les instructions de la CISA liées ci-dessous.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2024-13161 — Ivanti Endpoint Manager (EPM) : vulnérabilité de traversée de répertoires par chemin absolu

• Produit : Ivanti Endpoint Manager (EPM)
• Ajoutée au catalogue : 10 mars 2025
• Échéance CISA : 31 mars 2025
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-36
• Gravité : CVSS 7,5 (élevée)
• Probabilité d’exploitation (EPSS) : 90 %
• Technologie : Ivanti

Ivanti Endpoint Manager (EPM) contient une vulnérabilité de traversée de répertoires par chemin absolu qui permet à un attaquant distant non authentifié de divulguer des informations sensibles.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · forums.ivanti.com

CVE-2024-13160 — Ivanti Endpoint Manager (EPM) : vulnérabilité de traversée de répertoires par chemin absolu

• Produit : Ivanti Endpoint Manager (EPM)
• Ajoutée au catalogue : 10 mars 2025
• Échéance CISA : 31 mars 2025
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-36
• Gravité : CVSS 7,5 (élevée)
• Probabilité d’exploitation (EPSS) : 91 %
• Technologie : Ivanti

Ivanti Endpoint Manager (EPM) contient une vulnérabilité de traversée de répertoires par chemin absolu qui permet à un attaquant distant non authentifié de divulguer des informations sensibles.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · forums.ivanti.com

CVE-2024-13159 — Ivanti Endpoint Manager (EPM) : vulnérabilité de traversée de répertoires par chemin absolu

• Produit : Ivanti Endpoint Manager (EPM)
• Ajoutée au catalogue : 10 mars 2025
• Échéance CISA : 31 mars 2025
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-36
• Gravité : CVSS 7,5 (élevée)
• Probabilité d’exploitation (EPSS) : > 99,9 %
• Technologie : Ivanti

Ivanti Endpoint Manager (EPM) contient une vulnérabilité de traversée de répertoires par chemin absolu qui permet à un attaquant distant non authentifié de divulguer des informations sensibles.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · forums.ivanti.com

CVE-2025-0282 — Ivanti, Connect Secure, Policy Secure et ZTA Gateways : dépassement de tampon basé sur la pile Critique

• Produit : Ivanti Connect Secure, Policy Secure, and ZTA Gateways
• Ajoutée au catalogue : 8 janvier 2025
• Échéance CISA : 15 janvier 2025
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-121
• Gravité : CVSS 9,0 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %
• Technologie : Ivanti

Ivanti Connect Secure, Policy Secure et ZTA Gateways contiennent un dépassement de tampon basé sur la pile qui peut entraîner une exécution de code à distance non authentifiée.

Action requise : Appliquer les mesures d'atténuation telles que décrites dans les instructions CISA liées ci-dessous, y compris la conduite d'activités de recherche (hunt activities), la prise de mesures de remédiation si applicable, et l'application des mises à jour avant de remettre un appareil en service.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2024-9380 — Ivanti CSA : vulnérabilité d'injection de commandes système

• Produit : Ivanti Cloud Services Appliance (CSA)
• Ajoutée au catalogue : 9 octobre 2024
• Échéance CISA : 30 octobre 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-77
• Gravité : CVSS 7,2 (élevée)
• Probabilité d’exploitation (EPSS) : 58 %
• Technologie : Ivanti

Ivanti Cloud Services Appliance (CSA) contient une vulnérabilité d'injection de commandes système dans la console d'administration qui peut permettre à un attaquant authentifié disposant des privilèges d'administrateur de l'application de transmettre des commandes au système d'exploitation sous-jacent.

Action requise : Étant donné qu'Ivanti CSA 4.6.x a atteint le statut de fin de vie, les utilisateurs sont invités à retirer CSA 4.6.x du service ou à mettre à niveau vers la ligne 5.0.x, ou ultérieure, de la solution prise en charge.

Références : NVD · CISA · forums.ivanti.com

CVE-2024-9379 — Ivanti, Cloud Services Appliance (CSA) : vulnérabilité d'injection SQL

• Produit : Ivanti Cloud Services Appliance (CSA)
• Ajoutée au catalogue : 9 octobre 2024
• Échéance CISA : 30 octobre 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-89
• Gravité : CVSS 7,2 (élevée)
• Probabilité d’exploitation (EPSS) : 44 %
• Technologie : Ivanti

Ivanti Cloud Services Appliance (CSA) contient une vulnérabilité d'injection SQL dans la console web d'administration dans les versions antérieures à 5.0.2, ce qui peut permettre à un attaquant distant authentifié en tant qu'administrateur d'exécuter des instructions SQL arbitraires.

Action requise : Étant donné qu'Ivanti CSA 4.6.x a atteint le statut de fin de vie, les utilisateurs sont invités à retirer CSA 4.6.x du service ou à mettre à niveau vers la ligne 5.0.x, ou ultérieure, de la solution prise en charge.

Références : NVD · CISA · forums.ivanti.com

CVE-2024-29824 — Ivanti Endpoint Manager (EPM) : vulnérabilité d'injection SQL

• Produit : Ivanti Endpoint Manager (EPM)
• Ajoutée au catalogue : 2 octobre 2024
• Échéance CISA : 23 octobre 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-89
• Gravité : CVSS 8,8 (élevée)
• Probabilité d’exploitation (EPSS) : 100 %
• Technologie : Ivanti

Ivanti Endpoint Manager (EPM) contient une vulnérabilité d'injection SQL dans Core server qui permet à un attaquant non authentifié sur le même réseau d'exécuter du code arbitraire.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · forums.ivanti.com

CVE-2024-7593 — Ivanti Virtual Traffic Manager : contournement de l'authentification

• Produit : Ivanti Virtual Traffic Manager
• Ajoutée au catalogue : 24 septembre 2024
• Échéance CISA : 15 octobre 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-287, CWE-303
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %
• Technologie : Ivanti

Ivanti Virtual Traffic Manager contient une vulnérabilité de contournement de l'authentification qui permet à un attaquant distant et non authentifié de créer un compte administrateur choisi.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · forums.ivanti.com

CVE-2024-8963 — Ivanti CSA : vulnérabilité de traversée de répertoires

• Produit : Ivanti Cloud Services Appliance (CSA)
• Ajoutée au catalogue : 19 septembre 2024
• Échéance CISA : 10 octobre 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-22
• Gravité : CVSS 9,1 (critique)
• Probabilité d’exploitation (EPSS) : 99 %
• Technologie : Ivanti

Ivanti Cloud Services Appliance (CSA) contient une vulnérabilité de traversée de répertoires qui pourrait permettre à un attaquant distant et non authentifié d'accéder à des fonctionnalités restreintes. Si CVE-2024-8963 est utilisé conjointement avec CVE-2024-8190, un attaquant pourrait contourner l'authentification administrateur et exécuter des commandes arbitraires sur l'appliance.

Action requise : Étant donné qu'Ivanti CSA a atteint le statut de fin de vie, les utilisateurs sont invités à retirer CSA 4.6.x du service ou à mettre à niveau vers la série 5.0.x des solutions prises en charge, car les futures vulnérabilités sur la version 4.6.x de CSA ne recevront probablement pas de mises à jour de sécurité.

Références : NVD · CISA · forums.ivanti.com

CVE-2024-8190 — Ivanti Cloud Services Appliance : injection de commandes système

• Produit : Ivanti Cloud Services Appliance
• Ajoutée au catalogue : 13 septembre 2024
• Échéance CISA : 4 octobre 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-78
• Gravité : CVSS 7,2 (élevée)
• Probabilité d’exploitation (EPSS) : 89 %
• Technologie : Ivanti

Ivanti Cloud Services Appliance (CSA) contient une vulnérabilité d'injection de commandes système dans la console d'administration qui peut permettre à un attaquant authentifié disposant de privilèges d'administrateur de l'application de transmettre des commandes au système d'exploitation sous-jacent.

Action requise : Étant donné qu'Ivanti CSA a atteint le statut de fin de vie, les utilisateurs sont invités à retirer CSA 4.6.x du service ou à mettre à niveau vers la ligne de solutions supportées 5.0.x, car les futures vulnérabilités sur la version 4.6.x de CSA ne recevront probablement pas de futures mises à jour de sécurité.

Références : NVD · CISA · forums.ivanti.com

CVE-2021-44529 — Ivanti, Endpoint Manager Cloud Service Appliance (EPM CSA) : vulnérabilité d'injection de code Critique

• Produit : Ivanti Endpoint Manager Cloud Service Appliance (EPM CSA)
• Ajoutée au catalogue : 25 mars 2024
• Échéance CISA : 15 avril 2024
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-94
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 99 %
• Technologie : Ivanti

Ivanti Endpoint Manager Cloud Service Appliance (EPM CSA) contient une vulnérabilité d'injection de code qui permet à un utilisateur non authentifié d'exécuter du code malveillant avec des permissions limitées (nobody).

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · forums.ivanti.com

Fiche détaillée : versions, références, chronologie →

CVE-2024-21893 — Ivanti, Connect Secure, Policy Secure et Neurons : vulnérabilité de falsification de requêtes côté serveur (SSRF)

• Produit : Ivanti Connect Secure, Policy Secure, and Neurons
• Ajoutée au catalogue : 31 janvier 2024
• Échéance CISA : 2 février 2024
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-918
• Gravité : CVSS 8,2 (élevée)
• Probabilité d’exploitation (EPSS) : > 99,9 %
• Technologie : Ivanti

Ivanti Connect Secure (ICS, anciennement connu sous le nom de Pulse Connect Secure), Ivanti Policy Secure et Ivanti Neurons contiennent une vulnérabilité de falsification de requêtes côté serveur (SSRF) dans le composant SAML qui permet à un attaquant d'accéder à certaines ressources restreintes sans authentification.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · forums.ivanti.com

CVE-2023-35082 — Ivanti, Endpoint Manager Mobile (EPMM) et MobileIron Core : contournement de l'authentification Critique

• Produit : Ivanti Endpoint Manager Mobile (EPMM) and MobileIron Core
• Ajoutée au catalogue : 18 janvier 2024
• Échéance CISA : 8 février 2024
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-287
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %
• Technologie : Ivanti

Ivanti Endpoint Manager Mobile (EPMM) et MobileIron Core contiennent une vulnérabilité de contournement de l'authentification qui permet à des utilisateurs non autorisés d'accéder à des fonctionnalités ou des ressources restreintes de l'application.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · forums.ivanti.com

Fiche détaillée : versions, références, chronologie →

CVE-2024-21887 — Ivanti, Connect Secure et Policy Secure : vulnérabilité d'injection de commandes

• Produit : Ivanti Connect Secure and Policy Secure
• Ajoutée au catalogue : 10 janvier 2024
• Échéance CISA : 22 janvier 2024
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-77
• Gravité : CVSS 9,1 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %
• Technologie : Ivanti

Ivanti Connect Secure (ICS, anciennement Pulse Connect Secure) et Ivanti Policy Secure contiennent une vulnérabilité d'injection de commandes dans les composants web de ces produits, ce qui peut permettre à un administrateur authentifié d'envoyer des requêtes élaborées pour exécuter du code sur les appliances affectées. Cette vulnérabilité peut être exploitée conjointement avec CVE-2023-46805, un problème de contournement d'authentification authentifié.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

CVE-2023-46805 — Ivanti, Connect Secure et Policy Secure : vulnérabilité de contournement d'authentification

• Produit : Ivanti Connect Secure and Policy Secure
• Ajoutée au catalogue : 10 janvier 2024
• Échéance CISA : 22 janvier 2024
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-287
• Gravité : CVSS 8,2 (élevée)
• Probabilité d’exploitation (EPSS) : > 99,9 %
• Technologie : Ivanti

Les passerelles Ivanti Connect Secure (ics, anciennement pulse connect secure) et Ivanti Policy Secure contiennent une vulnérabilité de contournement d'authentification dans le composant web qui permet à un attaquant d'accéder à des ressources restreintes en contournant les contrôles de sécurité. cette vulnérabilité peut être exploitée conjointement avec CVE-2024-21887, une vulnérabilité d'injection de commandes.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

CVE-2023-38035 — Ivanti Sentry : contournement de l'authentification Critique

• Produit : Ivanti Sentry
• Ajoutée au catalogue : 22 août 2023
• Échéance CISA : 12 septembre 2023
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-863
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %
• Technologie : Ivanti

Ivanti Sentry, anciennement connu sous le nom de MobileIron Sentry, contient une vulnérabilité de contournement de l'authentification qui pourrait permettre à un attaquant de contourner les contrôles d'authentification sur l'interface d'administration en raison d'une configuration Apache HTTPD insuffisamment restrictive.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · forums.ivanti.com

Fiche détaillée : versions, références, chronologie →

CVE-2023-35081 — Ivanti Endpoint Manager Mobile (EPMM) : vulnérabilité de traversée de répertoires

• Produit : Ivanti Endpoint Manager Mobile (EPMM)
• Ajoutée au catalogue : 31 juillet 2023
• Échéance CISA : 21 août 2023
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-22
• Gravité : CVSS 7,2 (élevée)
• Probabilité d’exploitation (EPSS) : 64 %
• Technologie : Ivanti

Ivanti Endpoint Manager Mobile (EPMM) contient une vulnérabilité de traversée de répertoires qui permet à un administrateur authentifié d'effectuer des écritures de fichiers malveillantes sur le serveur EPMM. Cette vulnérabilité peut être utilisée conjointement avec CVE-2023-35078 pour contourner l'authentification et les restrictions ACL (si applicable).

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · forums.ivanti.com

CVE-2023-35078 — Ivanti Endpoint Manager Mobile : contournement de l'authentification Critique

• Produit : Ivanti Endpoint Manager Mobile (EPMM)
• Ajoutée au catalogue : 25 juillet 2023
• Échéance CISA : 15 août 2023
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-287
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %
• Technologie : Ivanti

Ivanti Endpoint Manager Mobile (EPMM, anciennement MobileIron Core) contient une vulnérabilité de contournement de l'authentification qui permet un accès non authentifié à des chemins d'API spécifiques. Un attaquant ayant accès à ces chemins d'API peut accéder à des informations personnellement identifiables (PII) telles que des noms, des numéros de téléphone et d'autres détails de périphériques mobiles pour les utilisateurs sur un système vulnérable. Un attaquant peut également effectuer d'autres modifications de configuration, y compris l'installation de logiciels et la modification des profils de sécurité sur les périphériques enregistrés.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · forums.ivanti.com

Fiche détaillée : versions, références, chronologie →

CVE-2021-22900 — Ivanti Pulse Connect Secure : vulnérabilité de téléversement de fichiers non restreint

• Produit : Ivanti Pulse Connect Secure
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-94
• Gravité : CVSS 7,2 (élevée)
• Probabilité d’exploitation (EPSS) : 14 %
• Technologie : Ivanti

Ivanti Pulse Connect Secure contient une vulnérabilité de téléversement de fichiers non restreint qui permet à un administrateur authentifié d'effectuer une écriture de fichier via un téléversement d'archive malveillamment conçu dans l'interface web de l'administrateur.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2021-22899 — Ivanti Pulse Connect Secure : vulnérabilité d'injection de commandes

• Produit : Ivanti Pulse Connect Secure
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-77
• Gravité : CVSS 8,8 (élevée)
• Probabilité d’exploitation (EPSS) : 23 %
• Technologie : Ivanti

Ivanti Pulse Connect Secure contient une vulnérabilité d'injection de commandes qui permet aux utilisateurs authentifiés à distance d'exécuter du code à distance via les profils de ressources de fichiers Windows.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2021-22894 — Ivanti Pulse Connect Secure : dépassement de tampon

• Produit : Ivanti Pulse Connect Secure
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-94
• Gravité : CVSS 8,8 (élevée)
• Probabilité d’exploitation (EPSS) : 41 %
• Technologie : Ivanti

Ivanti Pulse Connect Secure Collaboration Suite contient une vulnérabilité de dépassement de tampon qui permet à un utilisateur authentifié à distance d'exécuter du code en tant qu'utilisateur root via une salle de réunion mal construite.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2021-22893 — Ivanti Pulse Connect Secure : vulnérabilité d'utilisation après libération

• Produit : Ivanti Pulse Connect Secure
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-287
• Gravité : CVSS 10,0 (critique)
• Probabilité d’exploitation (EPSS) : 47 %
• Technologie : Ivanti

Ivanti Pulse Connect Secure contient une vulnérabilité d'utilisation après libération qui permet à un attaquant distant et non authentifié d'exécuter du code via les services de licence.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2020-8260 — Ivanti Pulse Connect Secure : vulnérabilité d'exécution de code

• Produit : Ivanti Pulse Connect Secure
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-434
• Gravité : CVSS 7,2 (élevée)
• Probabilité d’exploitation (EPSS) : 96 %
• Technologie : Ivanti

Pulse Connect Secure contient une vulnérabilité non spécifiée qui permet à un attaquant authentifié d'exécuter du code en utilisant une extraction gzip non contrôlée.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2020-8243 — Ivanti Pulse Connect Secure : vulnérabilité d'exécution de code

• Produit : Ivanti Pulse Connect Secure
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-94
• Gravité : CVSS 7,2 (élevée)
• Probabilité d’exploitation (EPSS) : 91 %
• Technologie : Ivanti

Ivanti Pulse Connect Secure contient une vulnérabilité non spécifiée dans l'interface web d'administration qui pourrait permettre à un attaquant authentifié de téléverser un modèle personnalisé pour effectuer une exécution de code.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2020-15505 — Ivanti MobileIron, plusieurs produits : vulnérabilité d'exécution de code à distance

• Produit : Ivanti MobileIron Multiple Products
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-706
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 100 %
• Technologie : Ivanti

Les produits Ivanti MobileIron Core & Connector, Sentry, et Monitor and Reporting Database (RDB) contiennent une vulnérabilité non spécifiée qui permet une exécution de code à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2019-11539 — Ivanti, Pulse Connect Secure et Policy Secure : vulnérabilité d'injection de commandes

• Produit : Ivanti Pulse Connect Secure and Pulse Policy Secure
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-78
• Gravité : CVSS 7,2 (élevée)
• Probabilité d’exploitation (EPSS) : 99 %
• Technologie : Ivanti

Ivanti Pulse Connect Secure et Policy Secure permet à un attaquant authentifié depuis l'interface web d'administration d'injecter et d'exécuter des commandes.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2019-11510 — Ivanti Pulse Connect Secure : vulnérabilité de lecture de fichier arbitraire Critique

• Produit : Ivanti Pulse Connect Secure
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-22
• Gravité : CVSS 10,0 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %
• Technologie : Ivanti

Ivanti Pulse Connect Secure contient une vulnérabilité de lecture de fichier arbitraire qui permet à un attaquant distant non authentifié ayant un accès réseau via HTTPS d'envoyer une URI spécialement élaborée.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →